閻朋舉

【摘 要】在某公司集團(tuán)級安全的信息系統(tǒng)項目中，本安全系統(tǒng)由安全機(jī)制、安全服務(wù)、安全技術(shù)三部分搭建而成，在實(shí)施中運(yùn)用了項目管理的知識和技術(shù)，建立了一套滿足用戶需求、較為完善的安全系統(tǒng)，保障了用戶信息系統(tǒng)的安全運(yùn)行。

【關(guān)鍵詞】信息；安全；管理；服務(wù)

中圖分類號： TP309.2 文獻(xiàn)標(biāo)識碼： A 文章編號： 2095-2457（2018）24-0229-002

DOI：10.19694/j.cnki.issn2095-2457.2018.24.110

0 引言

某公司集團(tuán)級安生的信息系統(tǒng)由安全機(jī)制、安全服務(wù)、安全技術(shù)三部分構(gòu)成，工作分解結(jié)構(gòu)WBS[1]為：新的網(wǎng)絡(luò)核心機(jī)房裝修、數(shù)據(jù)備份機(jī)房裝修、IT設(shè)備支撐系統(tǒng)、UPS系統(tǒng)、制冷系統(tǒng)、新風(fēng)系統(tǒng)、消防系統(tǒng)、監(jiān)控系統(tǒng)、數(shù)據(jù)備份機(jī)房、數(shù)據(jù)存儲與備份系統(tǒng)、防火墻與入侵檢測等子系統(tǒng)。該系統(tǒng)原來由于資金緊缺、網(wǎng)絡(luò)結(jié)構(gòu)簡單、應(yīng)用系統(tǒng)少等原因，在當(dāng)時沒有很完善的安全管理系統(tǒng)。但隨著網(wǎng)絡(luò)的不斷的延伸，用戶數(shù)量急驟上升，業(yè)務(wù)的不斷擴(kuò)展，如：資金系統(tǒng)、財務(wù)系統(tǒng)、通風(fēng)系統(tǒng)、瓦斯系統(tǒng)、生產(chǎn)調(diào)度系統(tǒng)、電力調(diào)度系統(tǒng)等重要應(yīng)用系統(tǒng)的運(yùn)行，原來簡單的安全管理已不能滿足系統(tǒng)的安全需要，需要建立一套能滿足用戶需要的、較為完善且安全的系統(tǒng)。

1 某公司集團(tuán)級安全的信息系統(tǒng)

為了提高某公司集團(tuán)級信息系統(tǒng)的安全性，滿足用戶的更高水平要求，對信息系統(tǒng)進(jìn)行了安全升級，并完善成安全的信息系統(tǒng)，具體做法如下：

1.1 安全機(jī)制

安全機(jī)制[2]（security mechanism）是指設(shè)計用于檢測、預(yù)防安全攻擊或者恢復(fù)系統(tǒng)的機(jī)制；通過安裝防火設(shè)施、防雷、視頻監(jiān)控、門禁、UPS、精密空調(diào)等附屬設(shè)施，同時建立了異地備份機(jī)房，大大地保證了基礎(chǔ)設(shè)施的實(shí)體安全。

a、基礎(chǔ)設(shè)施實(shí)體安全。為了保障基礎(chǔ)設(shè)施的實(shí)體安全，對機(jī)房進(jìn)行了潔凈機(jī)房裝修，裝修后面積約140M2，分為三個功能區(qū)，從左到右分別為監(jiān)控室、主機(jī)房和消防間。走廊東面設(shè)有安全門，南側(cè)為開放辦公區(qū)。核心機(jī)房全部采用整體落地玻璃間隔。主機(jī)房設(shè)有兩個出入口，一個通向監(jiān)控室，維護(hù)人員正常工作時使用；另一個面向走廊，當(dāng)搬運(yùn)大件設(shè)備或者緊急情況時啟用。主機(jī)房東側(cè)是消防間，面向走廊開門，用于存放消防鋼瓶，同時也便于工作人員維護(hù)核心機(jī)房的空調(diào)室外機(jī)。

機(jī)房裝修時，首先對窗戶進(jìn)行了雙層玻璃的密封，地面鋪設(shè)了防靜電地板，安裝了兩臺APC FM40精密空調(diào)機(jī)（帶加溫系統(tǒng)），采用下送風(fēng)上回風(fēng)的氣流循環(huán)方式，保證機(jī)房恒溫恒濕的需要。安裝了新風(fēng)系統(tǒng)，完善了接地系統(tǒng)，保證了機(jī)房環(huán)境、溫度、有效地防范了電磁、噪聲、灰塵、靜電等對設(shè)備的影響；場地安全方面在機(jī)房安全了視頻監(jiān)控系統(tǒng)、環(huán)境監(jiān)測設(shè)備、七氟丙烷自動滅火系統(tǒng)，這些有效地保證了場地安全；設(shè)施安全方面，核心交換機(jī)由主備兩臺交換機(jī)進(jìn)行冗余保護(hù)，通信線路實(shí)行雙向環(huán)技術(shù)，這些措施保證了設(shè)備可靠性和通信線安全自愈能力；在動力系統(tǒng)安全中，電源系統(tǒng)采用了兩路市電主備供電的方法，減少單路供電停的不安全因素，同時UPS采用了APC公司的40k+10k模塊化設(shè)計的集成供電系統(tǒng)，保證機(jī)房40K千瓦的用電需求，現(xiàn)設(shè)備負(fù)荷率達(dá)65%。并在電源端做了防雷裝置，保證系統(tǒng)設(shè)備的正常供電或雷雨季節(jié)的安全運(yùn)行。

災(zāi)難預(yù)防和恢復(fù)，為了提高容災(zāi)能力，建立了異地（因?yàn)闂l件限制實(shí)際是在不同的樓上）備份機(jī)房，其與主核心機(jī)房全是用光纖聯(lián)接。

b、平臺安全。為了保證本網(wǎng)絡(luò)的平臺安全，在內(nèi)網(wǎng)與外網(wǎng)之間安全裝了防火墻，在網(wǎng)絡(luò)中還安裝了安全入侵檢測、脆弱性掃描，對系統(tǒng)內(nèi)所的終端都安裝卡巴斯基防毒軟件；在UNIX、WINDOWS、LINUX系統(tǒng)上安裝了操作系統(tǒng)漏洞檢測與修復(fù)軟件?？傊ㄟ^這些工作基本上保證了平臺安全。

c、數(shù)據(jù)安全。異主要采用異地數(shù)據(jù)容災(zāi)，為系統(tǒng)數(shù)據(jù)備份系統(tǒng)提供運(yùn)行環(huán)境保障。同時也可作為網(wǎng)絡(luò)核心機(jī)房的備份，并為非核心業(yè)務(wù)網(wǎng)絡(luò)服務(wù)提供機(jī)房環(huán)境支持。數(shù)據(jù)備份機(jī)房建設(shè)充分利用了原核心機(jī)房撤出的基礎(chǔ)設(shè)施和設(shè)備，并通過遠(yuǎn)程監(jiān)控等手段實(shí)現(xiàn)與心網(wǎng)絡(luò)核心機(jī)房的統(tǒng)一管理與維護(hù)。

制定備了份策略：每周聯(lián)機(jī)熱備，結(jié)合每月定時脫機(jī)冷備，每日晚做完全邏輯備份，同時在平時持續(xù)備份archivelog：每周六晚10點(diǎn)，做一次完全聯(lián)機(jī)熱備；每日晚10點(diǎn)，做一次增量備份；每周三晚10點(diǎn)，做一次差分備份；每日每隔2小時往磁帶備一次新產(chǎn)生的archivelog，這個備份做2份。

d、運(yùn)行安全。為了保證運(yùn)行安全，對運(yùn)行中存的各種風(fēng)險進(jìn)行分析、評估、排序，并對不同風(fēng)險制定了《信息系統(tǒng)安全應(yīng)急預(yù)案》，在預(yù)案中明確了安全求援的機(jī)構(gòu)、指揮長，闡明應(yīng)急等級和啟動應(yīng)急預(yù)案的流程，使設(shè)備在運(yùn)行中如果出事故時，在應(yīng)急預(yù)案的指導(dǎo)下使故障能速迅得到恢復(fù)，保證了系統(tǒng)運(yùn)行安全。

e、管理安全。在安全上專家認(rèn)為是“三份技術(shù)、七份靠管理”所以我組項目相關(guān)干系人，通頭腦風(fēng)暴法、專家咨詢等手段，結(jié)合相關(guān)標(biāo)準(zhǔn)建立健全了：《人員安全管理》、《培訓(xùn)管理》、《應(yīng)用系統(tǒng)管理》、《軟件管理》、《設(shè)備管理》、《文檔管理》、《數(shù)據(jù)管理》、《操作管理》、《運(yùn)行管理》、《機(jī)房管理》等各項管理制度，為安全管理打下堅實(shí)的制度基礎(chǔ)。

f、授權(quán)和審計安全。為了保證系統(tǒng)安全，采取發(fā)對用戶認(rèn)證系統(tǒng)，完善了網(wǎng)絡(luò)內(nèi)部活動的監(jiān)控、統(tǒng)計和分析，提高了對空發(fā)事件的事后分析能力，為系統(tǒng)安全運(yùn)行提供了依據(jù)。

1.2 安全服務(wù)

為了保證安全服務(wù)，安裝了身份認(rèn)證系統(tǒng)，認(rèn)證系統(tǒng)中的端點(diǎn)準(zhǔn)入防御[3]（EAD，Endpoint Admission Defense）功能從網(wǎng)絡(luò)端點(diǎn)接入控制入手，加強(qiáng)網(wǎng)絡(luò)終端的主動防御能力，控制病毒、蠕蟲的蔓延。EAD通過安全客戶端、安全策略服務(wù)器、接入設(shè)備以及防病毒軟件的聯(lián)動，可以將不符合安全要求的終端限制在“隔離區(qū)” 內(nèi)，防止“危險”終端對網(wǎng)絡(luò)安全的損害，避免“易感”終端受病毒、蠕蟲的攻擊。

認(rèn)證服務(wù)器是整個系統(tǒng)的核心部分，控制所有遠(yuǎn)程用戶對網(wǎng)絡(luò)和應(yīng)用系統(tǒng)的訪問，提供全面的認(rèn)證、授權(quán)和審計服務(wù)。用戶在登錄系統(tǒng)時，通過安全加密通道與遠(yuǎn)程身份認(rèn)證服務(wù)器通訊，由認(rèn)證服務(wù)器完成對用戶身份的認(rèn)證，并得到當(dāng)前用戶的身份以及系統(tǒng)的授權(quán)信息。

本系統(tǒng)還可以支持多種登錄方式的靈活定制，可以滿足不同情況的需要，及對用戶的管理，支持人員賬戶的查詢，修改，刪除，及對用戶賬號的停用和對用戶權(quán)限的限制，支持對第三方CA，及一次性口令的認(rèn)證登錄和管理員的登錄。這樣避免非授人員對系統(tǒng)的訪問，提高了系統(tǒng)的安全性。

1.3 安全技術(shù)

1）訪問控制，訪問控制主要通過防火墻設(shè)備來實(shí)現(xiàn)。通過防火墻訪問控制措施，保障防火墻服務(wù)器區(qū)或內(nèi)網(wǎng)資源的安全性。限制非授權(quán)用戶對重要資源的訪問能力，同時允許授權(quán)開放的資源供外網(wǎng)用戶提供訪問，最大限度避免將系統(tǒng)漏洞暴露于外部而帶來的網(wǎng)絡(luò)安全威脅。本項目使用的是包過濾（Packet filtering）型防為墻，包過濾型防火墻工作在OSI網(wǎng)絡(luò)參考模型的網(wǎng)絡(luò)層和傳輸層，它根據(jù)數(shù)據(jù)包頭源地址，目的地址、端口號和協(xié)議類型等標(biāo)志確定是否允許通過。只有滿足過濾條件的數(shù)據(jù)包才被轉(zhuǎn)發(fā)到相應(yīng)的目的地，其余數(shù)據(jù)包則被從數(shù)據(jù)流中丟棄。包過濾方式是一種通用、廉價和有效的安全手段；適用于所有網(wǎng)絡(luò)服務(wù)；包過濾方式的優(yōu)點(diǎn)是不用改動客戶機(jī)和主機(jī)上的應(yīng)用程序，因?yàn)樗ぷ髟诰W(wǎng)絡(luò)層和傳輸層，與應(yīng)用層無關(guān)。

2）VPN技術(shù)，由于建設(shè)方的應(yīng)系統(tǒng)如：資金系統(tǒng)、財務(wù)系統(tǒng)、通風(fēng)系統(tǒng)、瓦斯系統(tǒng)、生產(chǎn)調(diào)度系統(tǒng)、電力調(diào)度系統(tǒng)等都跨越不同城市，所以本系統(tǒng)利用VPN技術(shù)來解決這些專網(wǎng)的安全，VPN的核心是采用隧道技術(shù)，將企業(yè)專用網(wǎng)的數(shù)據(jù)加密封裝后，透過虛擬的公網(wǎng)隧道進(jìn)行傳輸，從而防止敏感數(shù)據(jù)的被竊取。企業(yè)通過公網(wǎng)建立VPN，就如同通過自己的專用網(wǎng)建立內(nèi)部網(wǎng)一樣，享有較高的安全性、優(yōu)先性、可靠性和可管理性，而其建立周期、投入資金和維護(hù)費(fèi)用卻大大降低。從而保證了其安全。

2 結(jié)束語

在安全的信息系統(tǒng)項目的實(shí)施中，經(jīng)過項目組人員一致努力，為用戶建立了一套較為完善的信息安全系統(tǒng)，滿足了用戶需求，得到了用戶的好評，同時也積累了實(shí)施集團(tuán)級的安全系統(tǒng)的經(jīng)驗(yàn)并鍛煉了隊伍，近而使認(rèn)識安全是一種意識，而不是某種的技術(shù)就能實(shí)現(xiàn)真正的安全。除缺乏必要的安全產(chǎn)品和技術(shù)引起的不安全因素外，更多的不安全因素來自于管理上的漏洞，要想保證網(wǎng)絡(luò)的安全，在做好邊界防護(hù)的同時，更要做好內(nèi)部網(wǎng)絡(luò)的管理。安全是永恒的話題，怎樣在安全機(jī)制、安全服務(wù)、安全技術(shù)三維空間中，合理運(yùn)用各類設(shè)備各技術(shù)、建立滿足用戶需求的安全策略，還有待于去研究、探索、實(shí)踐、總結(jié)和提高。

【參考文獻(xiàn)】

[1]魏永濤.工作分解結(jié)構(gòu)WBS技術(shù)[J].中國高新技術(shù)企業(yè)，2011，25

[2]張信明，陳國良.HTTP的安全機(jī)制[J].計算機(jī)科學(xué)，2000，7

[3]朱宇陽，支林仙.端點(diǎn)準(zhǔn)入防御機(jī)制在網(wǎng)絡(luò)安全改造中的可行性分析[J]麗水學(xué)院黨報，2007，4（29）：114-115.